VPN-risicorapport genegeerd? Schrijf de beslissing, niet de score

Een risiconotitie die eindigt met een rangorde naar ernst geeft een manager een oordeel en geen actie. Daarom komen er zoveel terug met ‘bedankt, genoteerd’ en niets anders. De notities die worden goedgekeurd, delen een vorm: één smalle, controleerbare bewering, twee benoemde opties met een prijs, en één persoon die voor een datum moet antwoorden. Alles hieronder gaat over het maken van die vorm zonder te overdrijven wat u weet.

De score beantwoordt een vraag die niemand stelde

Rekenwerk met waarschijnlijkheid maal impact levert een getal op dat bevindingen tegen elkaar sorteert. Het vertelt een directeur niet wat er ondertekend moet worden, en het nodigt uit tot een discussie over de vermenigvuldiger in plaats van een beslissing over de gateway. Ik heb gezien dat een blootstellingscijfer met twee decimalen een hele vergadering opslokte, terwijl de echte vraag — of er dit kwartaal een upgrade wordt gefinancierd — ongesteld bleef.

Er zijn maar weinig echte beslissingen op dit gebied. Financier de upgrade, accepteer een begrensde blootstelling tot een genoemde datum, of verklein wie de dienst kan bereiken. Elk heeft een andere eigenaar en andere kosten, en geen ervan is ‘verklein het risico met 40 procent’.

Opgeblazen ernst maakt het probleem erger. Wanneer elke bevinding kritiek is, houdt de rangorde op te onderscheiden en valt de lezer terug op het enige signaal dat overblijft, namelijk wie het hardst klaagde. Een notitie die zegt dat de release buiten de ondersteuning valt, dat dit het tweede kwartaal is dat dat zo is, en dat een specifieke groep medewerkers ervan afhankelijk is, is veel bruikbaarder dan een rode badge.

Vaagheid is de andere fout. ‘De VPN is onveilig’ kan niet worden opgelost, omdat er niet bij staat welke uitrol, welke versie, of wie wat kan bereiken. Een zin die een lezer kan controleren is de kleinste eenheid van een bruikbaar rapport.

Verklein de bewering tot iemand haar kan controleren

Veranker de bewering aan een gepubliceerde grens in plaats van aan een mening. Buiten de ondersteuning van de leverancier, een ontbrekende verplichte verificatiestap, of bereikbaarheid vanaf een netwerksegment dat het niet zou moeten zien zijn allemaal beweringen met een test erachter. Voor de eerste zijn de test drie commando’s op de gateway zelf:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

De versieregel en de pakketnavraag komen meestal overeen, en als ze dat niet doen hebt u een tweede probleem gevonden dat een apart rapport verdient. De vervaldatum van het certificaat is het veld dat mensen vergeten te controleren totdat clients geen verbinding meer kunnen maken, en het hoort in dezelfde bewijsbijlage als de releaseregel.

Noteer waar elke uitvoer vandaan kwam en wanneer die is verzameld. Een notitie die ‘gateway gw1, dinsdag verzameld’ zegt, kan een scepticus opnieuw uitvoeren; een schermafbeelding die tot de interessante regel is bijgesneden niet. Verwijder sleutels, privéadressen en accountnamen voordat het bestand uw machine verlaat.

Schrijf de notitie als een keuze tussen benoemde opties

Een beslissingsnotitie is kort omdat zij één taak doet. Dit is de vorm die ik gebruik, ingevuld voor een verzonnen middelgrote organisatie waarvan de release voor externe toegang buiten de ondersteuning viel:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Elke regel verdient zijn plaats. Het verzoek is één zin en bevat een datum. De bewering is controleerbaar. Optie B bestaat zodat optie A een keuze is en geen formaliteit, en zij noemt de herinstallatie van de client omdat dat de kosten zijn die mensen onderschatten. De kosten van wachten beschrijven een gevolg, niet een waarschijnlijkheid.

Wat de notitie niet mag doen, is een conclusie binnensmokkelen die u niet kunt onderbouwen. Als er geen compromittering is aangetoond, zeg dat dan in één regel, want een lezer die later een overdrijving ontdekt, zal ook uw volgende drie notities verdisconteren.

Wat de acceptatie van het risico moet bevatten

Acceptatie is niet de afwezigheid van een beslissing en ook geen stilte. Als het antwoord is om een tijd met de blootstelling te leven, heeft de notitie drie toevoegingen nodig: een einddatum, een bewakingsstap die iemand daadwerkelijk uitvoert, en een benoemd persoon die de vraag opnieuw opent wanneer de datum aanbreekt.

Een tijdelijke maatregel vraagt dezelfde behandeling. De dienst beperken tot een kleinere groep verlaagt de blootstelling alleen als de beperking ergens wordt gehandhaafd en iemand de lijst onderhoudt. Een blokkade die stilletjes een nachtelijke batchtaak stopt, is geen maatregel, het is een storing met beter papierwerk.

Houd de eigenaar van de wijziging en de eigenaar van de beslissing gescheiden wanneer dat verschillende mensen zijn. Het platformteam voert uit; de directeur accepteert. Beide namen in de notitie schrijven haalt de meest voorkomende stagnatie weg, namelijk een goed voorbereid plan dat wacht op iemand die het nooit heeft gezien.

Controleer de notitie tegen de uitrol voordat u haar verstuurt

Beweringen verouderen slecht in organisaties met meer dan één gateway. Een bevinding die is overgenomen uit een forumdraadje over een andere release, of van een host die vorige maand opnieuw is gebouwd, wordt in de vergadering aangevochten en de rest van de notitie gaat mee. Voer het bewijs opnieuw uit op elke host die de notitie noemt:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Als de twee hosts het niet eens zijn, gaat de notitie nu over een gemengde vloot, wat een andere en meestal overtuigender bevinding is. Als de dienst inactief is op een host waarvan u dacht dat die verkeer bediende, stop dan en corrigeer de inventaris voordat de notitie ergens heen gaat.

Voeg dan de uitvoer toe, zet de beslissingsdatum in de onderwerpregel, en stuur haar naar de persoon die ja kan zeggen in plaats van naar de groep die haar zal bespreken. Als het antwoord ‘niet nu’ terugkomt, vraag dan de datum waarop het ‘nu’ wordt en schrijf die datum in de volgende versie van de notitie.